Ip6tablesフィルタリングで特定のアドレスを含む送信元をブロックしたい

Question

ip6tablesにより２つの以下条件を設定しあるUDPパケットの遮断する事を調査しております。特に1番目の条件について調べても分からない部分があり、アドバイス、ご指導の程頂けますと幸いです。

フィルタリングの条件と致しましては以下の２つになります。（今回は包括的なセキュリティ対策という要件ではないので、一旦全て拒否するルールから許可すべきルールを追加するというアプローチはとっておりません）

特に条件１について、下記のように変動するX部分のフィールドは全て”FFFF”とすることで、ワイルドカード的な指定ができるのかなど、どのようなコマンドを使えば良いのか答えを見つけられずにおります。

１．同じUDP受信パケットの送信元IPV6アドレスに特定のIPV6アドレス帯、後ろから2番目の16ビットのインターフェイスIDのフィールドが"2080"だった場合は許可する。Xに当たる部分はそれぞれ個別のプレフィックスとインターフェイスIDとなります。

　ip6tables -I INPUT -s fd00::X:XX:XXXX:2080:XXXX -j ACCEPT
ip6tables -I INPUT -s fd00::FFFF:FFFF:FFFF:2080:FFFF -j ACCEPT

２．ある特定のUDP受信パケット"617"を一日のある特定の時間帯のみブロックする。以下の例ですと午前3時から午後11時59分まで（12時から2時59分までは許可する）

　ip6tables -A INPUT -p udp --dport 617 -m time --timestart 3:00 --timestop 23:59 --days Mon,Tue,Wed,Thu,Fri,Sat, Sun -j DROP

---

総合すると最終的には以下のような３つのルール適用が必要なのではないかと考えております。

ip6tables -I INPUT -s fd00::FFFF:FFFF:FFFF:2080:FFFF -j ACCEPT
ip6tables -A INPUT -p udp --dport 617 -m time --timestart 3:00 --timestop 23:59 --days Mon,Tue,Wed,Thu,Fri,Sat, Sun -j DROP
ip6tables -A INPUT -j ACCEPT

Answer 1

条件１の話だけ。

以下のように登録したところ、一応ルールとして受理はされました。
ip6tables -A INPUT -p tcp -s fd00::2080:0000/ffff:ffff:ffff:ffff:ffff:ffff:0000:ffff -j ACCEPT
後ろから２番目の16ビットアドレスだけをマスクしないネットマスクを指定しています。

実際にパケットが通過するかどうかはご自身で試してみてください。

$ sudo ip6tables -n --list | grep fd00
ACCEPT     tcp      fd00::/ffff:ffff:ffff:ffff:ffff:ffff:0:ffff  ::/0   

Comments

[minhouse10]

hope_mucci様、ご回答頂き、誠にありがとうとうございます！自分にはまったくこのような対応は思いつかなかっただけに大変感謝です、さっそくテストを行い、また結果こちらまで報告させて頂きます。取り急ぎお礼までとさせて頂きます。

[minhouse10]

hope_mucci様、返信が遅れて大変申し訳ございません、その後頂戴したアドバイスを参考に試行錯誤を実施した結果、期待した結果を得るためには最終的に以下のルール適用が必要となりました。また各デバイスに対してtunnelインターフェイスが作成されているため、InputではなくForward Chainに対して適用する必要がありました。改めてこの度重要なアドバイスをくださり本当にありがとうございました。

-A FORWARD -i rc+ -s unique static IPV6 address/ffff:ffff:ffff:ffff:ffff:ffff:ffff:ffff -j ACCEPT
-A FORWARD -i rc+ -s xxx::xxx:0000:0000:0000:0000/64 -p udp --dport 515 -m time --timestart 15:00 --timestop 14:00 -j DROP